PHPセキュリティチームは、PHP2Shellと呼ばれる2つの重大なリモートコード実行（RCE）脆弱性に対処するため、緊急セキュリティアップデートをリリースしました。これらの脆弱性はCVE-2026-109618およびCVE-2026-109619として追跡されており、認証されていない攻撃者が影響を受けるサーバーを制御することを可能にします。
脆弱性の詳細と影響
これらの脆弱性は、Calif、OpenAI、Wizの各社の研究者による共同の取り組みによって発見されました。これらの脆弱性の危険性は、PHP-FPM、Apache（mod_php使用時）、php-cgi、FrankenPHP、LiteSpeedなど、Webリクエストを処理するすべてのPHP実行環境に影響を与える点にあります。
PHPセキュリティチームは、最大のリスクはmod_phpの設定にあると説明しています。ここでは、認証されていない攻撃者がアプリケーション固有のコードが実行される前に攻撃を実行できる可能性があります。これらの脆弱性は、リクエストが異常終了した際にメモリが破損した状態で残されるという根本的な問題に起因しており、これがリモートコード実行の悪用につながります。
管理者に求められる対応
システム管理者は、直ちにサーバーを以下の安全なバージョンに更新する必要があります：8.5.12、8.4.27、8.3.36、または8.2.35。公式サポートが終了している古いバージョン（7.4、8.0、8.1）については、PHPチームがこれらのバージョンに依存し続けているシステムを保護するためにバックポートを提供しています。
このニュースが重要な理由
PHPは、WordPressやDrupalなどの有名なプラットフォームを含め、世界中のWebサイトの約75%から80%を支えるバックボーンとなっています。インターネットに公開されている500万台以上のPHPサーバーが存在するため、これらの脆弱性の悪用は広範囲にわたる脅威となります。Cloudflare社は、これらの脆弱性を悪用しようとする初期の試みをすでに確認したと報告しており、これを受けて英国の国家サイバーセキュリティセンター（NCSC）は、組織に対し、直ちにアップデートを行うか、システムをネットワークから切り離すよう緊急警告を発しました。
一時的な緩和策
直ちにアップデートできない場合、PHPセキュリティチームは悪用の可能性を減らすための緩和策をいくつか提示しています：
- CVE-2026-109618に対する対策：memory_limitを-1に設定し、post_max_sizeを8MB（ファイルアップロードが必要な場合は32MB）に制限する。
- CVE-2026-109619に対する対策：session.upload_progress.enabledを0に設定する。また、バージョン8.5ではfatal_error_backtracesを0に設定し、ワーカー（workers）を再起動する。
開発者は、これらの対策は完全な保護を提供するものではなく、公式のアップデートこそがサーバーの安全を恒久的に確保する唯一の手段であると強調しています。